பாதுகாப்பு நிறுவனமான விஸ் ரிசர்ச் அக்டோபர் 21, 2026 அன்று கோர் PHP இன்ஜினில் உள்ள முக்கியமான பாதிப்புகளின் தொகுப்பை வெளியிட்டது, குறைபாடுகள் - ஒட்டுமொத்தமாக PHP2Shell என அழைக்கப்படும் - அங்கீகரிக்கப்படாத ரிமோட் குறியீடு செயல்படுத்தல் மற்றும் Heartbleed-ஸ்டைல் ​​மெமரி டிஸ்க்ளோஷர் ஆகியவற்றைச் செயல்படுத்தும் என்று எச்சரித்தது. PHP திட்டம் அதே நாளில் பேட்ச்களை வெளியிட்டது, மேலும் இணையத்தின் மகத்தான நிறுவப்பட்ட தளம் முழுவதும் உடனடி புதுப்பிப்புகளை Wiz வலியுறுத்துகிறது.

PHP இணையத்தின் முதுகெலும்பாக உள்ளது: இது வேர்ட்பிரஸ், ஜூம்லா, Drupal மற்றும் MediaWiki, விக்கிபீடியாவை இயக்கும் மென்பொருளை இயக்குகிறது. முக்கியமாக, புதிதாக வெளிப்படுத்தப்பட்ட பிழைகள் PHP இன் முக்கிய இயந்திரத்தில் வாழ்கின்றன, அதன் மேல் கட்டப்பட்ட எந்த பயன்பாட்டிலும் இல்லை, அதாவது தளங்கள் அவற்றின் சொந்த பயன்பாட்டுக் குறியீடு பாதுகாப்பாக இருக்கும்போது கூட வெளிப்படும். For more context on this story, see our ongoing AI industry coverage.

பாதிப்புகள் என்ன

ஆராய்ச்சியாளர்களான Sagi Tzadik, Shir Tamari, Nir Ohfeld மற்றும் Tomer Schwartz ஆகியோரின் Wiz இன் தொழில்நுட்ப எழுத்தின் படி, வெளிப்படுத்தப்பட்ட பிழைகள் அனைத்தும் நினைவக-பாதுகாப்பு சிக்கல்கள், கோரிக்கை செயலாக்கத்தின் போது PHP எவ்வாறு அபாயகரமான பிழைகளை கையாளுகிறது - குறிப்பாக நினைவாற்றல் இல்லாத பிழைகள். செயலிழந்த கோரிக்கையானது சிதைந்த உள் PHP நிலையை விட்டுச் செல்லலாம், பின்னர் கோரிக்கை அல்லது அந்த பழைய நிலையை மீண்டும் பயன்படுத்தும் பணியாளர் நினைவக வெளிப்பாடு அல்லது நினைவக சிதைவைத் தூண்டலாம்.

கண்டுபிடிப்புகள் CVSS 9.2 இன் அதிகபட்ச தீவிரத்தன்மையுடன் இரண்டு CVEகளின் கீழ் தொகுக்கப்பட்டுள்ளன:

  • CVE-2026-109618 — ஒரு பதிவேற்றம்-முன்னேற்றம் இல்லாத சீரியலைசர் பயன்பாடு-இலவசமாக, தாக்குபவர் ரிமோட் செயல்முறை-நினைவகத்தை வெளிப்படுத்துதல் மற்றும் நிரூபிக்கப்பட்ட சங்கிலிகளில், முழு தொலைநிலைக் குறியீட்டை செயல்படுத்தலாம். வேர்ட்பிரஸ், ட்ருபால் மற்றும் ஜூம்லாவில் PHP பணியாளரின் நினைவகம் மற்றும் முன் அங்கீகாரம் RCE ஆகியவற்றின் அங்கீகரிக்கப்படாத வெளிப்படுத்தலை Wiz நிரூபித்தது.
  • CVE-2026-109619 — OPcache வகை குழப்பத்துடன் இணைந்து, ஒரு அபாயகரமான-பிழை பின்னடைவு பயன்பாடு-இலவசமானது, Drupal மற்றும் WordPress இல் அங்கீகாரத்திற்கு முந்தைய தொலைநிலைக் குறியீட்டைச் செயல்படுத்துவதையும் நிரூபிக்கிறது.

தாக்குபவர்கள் படிக்கக்கூடிய நினைவகத்தில் கடவுச்சொற்கள், அங்கீகார டோக்கன்கள், API விசைகள் மற்றும் பிற கோரிக்கைகள் அல்லது சேவையகத்திற்குச் சொந்தமான சான்றிதழ்கள் இருக்கலாம், Wiz கூறினார். கடந்த தசாப்தத்தில் வெளியிடப்பட்ட ஒவ்வொரு PHP பதிப்பும் - PHP 5.4 க்கு செல்லும் - குறைந்தபட்சம் ஏதேனும் பாதிப்புகளால் பாதிக்கப்படுகிறது, மேலும் PHP இல் இதுவரை கண்டறியப்பட்ட மிகக் கடுமையான குறைபாடுகளில் இது இருப்பதாக நிறுவனம் கூறுகிறது.

AI எங்கே வருகிறது

Wiz இன் அறிக்கையின் மிக முக்கியமான கூற்று PHP பற்றியது அல்ல - இது வளர்ச்சியைச் சுரண்டுவதற்கு எல்லைப்புற AI மாதிரிகள் என்ன செய்தன என்பதைப் பற்றியது.

அடிப்படை குறைபாடுகள், பல தசாப்தங்களாக உள்ளன, ஆனால் சுரண்டலை நிரூபிக்க "மனித ஆராய்ச்சியாளர்கள் நடைமுறையில் அடையக்கூடியவற்றின் விளிம்பில் விதிவிலக்கான சிக்கலான படிகளின் சங்கிலி" தேவைப்பட்டது. சுரண்டல் பல குறைபாடுகளை இணைக்க வேண்டும் மற்றும் மீண்டும் மீண்டும் சோதனை மற்றும் பிழைத்திருத்தம் மூலம் ஒவ்வொரு இலக்கின் நினைவக அமைப்பை மாற்றியமைக்க வேண்டும்.

Frontier AI மாதிரிகள், அந்தத் தடையை கணிசமாகக் குறைத்துவிட்டது - "நீண்டகால குறைபாட்டை ஒரு சுரண்டலாக மாற்றுகிறது" - மற்றும் Wiz இன் குழுவிற்கு பல பயன்பாடுகளில் வாரங்களில் அல்லாமல் மணிநேரங்களில் வேலைச் சுரண்டல்களை உருவாக்கவும் மாற்றியமைக்கவும் உதவியது.

"இந்த வேலைக்குத் தேவையான நேரமும் நிபுணத்துவமும் குறைவதால், சிக்கலானது இனி ஒரு அர்த்தமுள்ள தடையை வழங்காது, நடைமுறையில் பாதிக்கப்படக்கூடியவற்றை நாங்கள் எவ்வாறு வரையறுக்கிறோம் என்பதை மாற்றுகிறது" என்று ஆராய்ச்சியாளர்கள் எழுதினர்.

AI சகாப்தத்தில் ஒரு திருப்புமுனை?

Wiz, PHP2Shell ஐ இணையப் பாதுகாப்பில் இரண்டு முந்தைய நீர்நிலை தருணங்களுடன் வெளிப்படையாகக் கட்டமைக்கிறது: 2014 இல் Heartbleed, இணையத்தைப் பாதுகாக்கும் பகிரப்பட்ட உள்கட்டமைப்பின் பலவீனத்தை வெளிப்படுத்தியது, மற்றும் Log4Shell 2021 இல், இது எவ்வளவு ஆழமாக உட்பொதிக்கப்பட்ட மென்பொருள் சார்புகள் பரவலான வெளிப்பாட்டை உருவாக்குகின்றன என்பதை வெளிப்படுத்தியது. PHP2Shell இதேபோன்ற திருப்புமுனையைக் குறிக்கும் என்று நிறுவனம் வாதிடுகிறது - இந்த முறை AI நீண்டகாலமாக அறியப்பட்ட பலவீனங்களின் நடைமுறைச் சுரண்டலை எவ்வாறு மாற்றுகிறது என்பதை விளக்குகிறது.

அந்த ஃப்ரேமிங் PHPக்கு அப்பாற்பட்டது. கோட்பாட்டு ரீதியிலான பாதிப்புகள் மிகவும் கடினமானவை, மிக மெதுவாக அல்லது மிகவும் நிபுணத்துவம் வாய்ந்தவையாக இருப்பதால், அவற்றைப் பயன்படுத்துவது மிகவும் கடினமானது, மிக மெதுவாக அல்லது மிகவும் நிபுணத்துவம் வாய்ந்ததாக இருந்ததால், இப்போது AI கருவிகளைக் கொண்ட நன்கு வளம் பெற்ற தாக்குபவர்களுக்கு அணுகக்கூடியதாக இருக்கலாம் - பாதுகாப்பு வரவு செலவுத் திட்டம், பேட்ச் கேடன்ஸ் மற்றும் மென்பொருள் துறை முழுவதும் வெளிப்படுத்தும் காலக்கெடு ஆகியவற்றுக்கான வெளிப்படையான தாக்கங்கள்.

ஒரு ஒருங்கிணைந்த குறுக்கு தொழில் திருத்தம்

வெளிப்படுத்தல் ஒருங்கிணைக்கப்பட்டது. கண்டுபிடிப்பு, ஒருங்கிணைப்பு மற்றும் பேட்ச் சரிபார்ப்பு ஆகியவற்றில் பணிபுரிந்த PHP குழு மற்றும் OpenAI க்கு Wiz நன்றி தெரிவித்தது, OpenAI மற்றும் PHP இரண்டும் பாதிப்பின் வரலாறு மற்றும் வெளிப்படுத்தல் செயல்முறையின் சொந்த தொழில்நுட்ப பதிவுகளை வெளியிட்டன.

Automattic, Akamai, AWS, Cloudflare, Fastly, Google, Imperva, Microsoft மற்றும் Vercel உள்ளிட்ட குறுக்கு-தொழில் குழு - உடனடியாக இணைக்க முடியாத வாடிக்கையாளர்களுக்கு வழிகாட்டுதல் மற்றும் அவுட்-ஆஃப்-பாக்ஸ் குறைப்புகளைத் தயாரித்துள்ளது. Cloudflare தனது வாடிக்கையாளர்களுக்கு PHP பாதிப்புகளுக்கு எதிராக WAF பாதுகாப்பைப் பயன்படுத்தியதாக அக்டோபர் 21 அன்று தனித்தனியாக அறிவித்தது.

தள உரிமையாளர்கள் என்ன செய்ய வேண்டும்

Wiz இன் அறிவுரை அப்பட்டமானது: உடனடியாக இணைக்கவும். PHP திட்டம் அக்டோபர் 21, 2026 அன்று நினைவக-பாதுகாப்பு பாதிப்புகளுக்கான திருத்தங்களை வெளியிட்டது, மேலும் ஆதரிக்கப்படும் ஒவ்வொரு PHP வரிசைப்படுத்தலும் கூடிய விரைவில் புதுப்பிக்கப்பட வேண்டும்.

உடனடியாக இணைக்க முடியாத நிறுவனங்கள் தங்கள் CDN, ஹோஸ்டிங் அல்லது WAF வழங்குநர்களால் வெளியிடப்பட்ட தணிப்புகளைப் பயன்படுத்த வேண்டும், அவற்றில் பல முதல் நாளில் சுரண்டல் சங்கிலிகளை இலக்காகக் கொண்ட விதிகளை அனுப்பியது. WordPress, Drupal மற்றும் Joomla ஃப்ளீட்களின் நிர்வாகிகள் இதை ஒரு முன்னுரிமை பேட்ச் சுழற்சியாகக் கருத வேண்டும்: Wiz மூன்று தளங்களுக்கும் எதிராக முன் அங்கீகாரம் தொலைநிலைக் குறியீட்டை செயல்படுத்தி, அவற்றுக்கு மேலே உள்ள பயன்பாடுகள் எவ்வளவு நன்றாகப் பராமரிக்கப்பட்டாலும் பாதிக்கப்படக்கூடிய குறியீடு பாதைகள் உள்ளன.

ஆழமான பாடம் Wiz தானே வரைந்ததாக இருக்கலாம்: AI ஆனது பல மாதங்களாக சுரண்டப்பட்ட பொறியியலை மணிக்கணக்கில் சுருக்கினால், தொழில்துறையின் "நடைமுறையில் சுரண்டக்கூடியது" என்ற வரையறை - மற்றும் அதனுடன், பொறுப்பான பேட்ச் டைம்லைன்களின் பொருள் - இப்போது மாறிவிட்டது.

---

Stay Ahead of AI

Get the latest AI news, analysis, and breakthroughs — all in one place.

Read more AI news →